# BSI narancs riasztási szint: mit jelent a besorolás

> A BSI narancs riasztási szintje érthetően: mit jelent a négy szint, miért üzletkritikus a PHP2Shell, és milyen döntéseket hozzanak most a cégek.

Forrás: https://phpsos.de/hu/blog/bsi-warnstufe-orange-erklaert/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A BSI (a német szövetségi információbiztonsági hivatal) narancs riasztási szintje a négy szint közül a második legmagasabb. Azt jelenti: az IT-fenyegetettségi helyzet üzletkritikus, a rendes működés súlyosan zavart szenvedhet. A PHP2Shellre a BSI ezt a 3-as szintet adta, és az azonnali frissítést javasolja, vagy ha az nem megy, az érintett webszerverek átmeneti leválasztását a hálózatról. A vállalatok számára a narancs azt jelenti: a téma ma a vezetés asztalára tartozik.

## Mit jelent a besorolás a döntéshozóknak

Sok ügyvezető hallott a híradásokban a „narancs riasztási szintről”, anélkül hogy tudta volna, hogyan értékelje. Mindenkinek szóló riasztás ez, vagy az IT-részleg témája? A rövid válasz: a narancs az a szint, amelynél a BSI abból indul ki, hogy az érintettek gyors cselekvés nélkül üzletük komoly zavarát kockáztatják.

A hessenschau szerint a BSI a PHP2Shellről kiemelkedő fenyegetési potenciált mondott. Gyors, nagy léptékű kihasználással számolt. Széles körben megerősített sikeres támadások a figyelmeztetés idején a BSI szerint nem voltak ismertek. A kettő összetartozik: a magas szint a kockázatot írja le, nem egy már bekövetkezett kárt.

## A BSI narancs riasztási szintje és a másik három szint

A BSI a kiberbiztonsági figyelmeztetéseit 1-től 4-ig terjedő skálán sorolja be. Az alábbi táblázat a jelentést értelem szerint adja vissza:

| Szint | Szín | Jelentés (értelem szerint) |
|---|---|---|
| 1 | Szürke | IT-fenyegetettségi helyzet jelentős feltűnő jelenségek nélkül |
| 2 | Sárga | a feltűnő jelenségek fokozott megfigyelése, a rendes működés időnként zavart |
| 3 | Narancs | üzletkritikus helyzet, a rendes működés súlyos zavara |
| 4 | Piros | rendkívül kritikus helyzet, a rendes működés számos területen már nem tartható fenn |

A szint a helyzetről mond valamit összességében, nem az Ön egyes szerveréről. Egy teljesen javított és ellenőrzött webszerver narancs mellett is jó helyzetben van. Egy javítatlan, PHP 8.1-et és mod_php-t futtató szerver alacsonyabb szint mellett is veszélyeztetett.

### Hogyan használja a skálát belsőleg

Sok vállalatnak vannak saját vészhelyzeti szintjei, például a vészhelyzeti kézikönyvben vagy az információbiztonság-irányítás keretében. Érdemes ott fixen hozzárendelni a BSI szintjeit. Egy egyszerű szabály így szólhat: sárgánál az IT a normál működés keretében ellenőriz. Narancsnál a vezetést még aznap tájékoztatják, felelőst neveznek ki, és az összes érintett rendszer állapotát írásban felmérik. Pirosnál összeül a válságstáb.

Így egy hírből begyakorolt reakció lesz. Aki a hozzárendelést előre rögzítette, éles helyzetben nem kell, hogy vitatkozzon azon, vajon a helyzet „elég komoly-e”. A PHP2Shell esetében ez a szabály azt jelentette volna: még október 21-én helyzetfelmérés, javítási terv és döntés a leállításokról.

A figyelmeztetéseket maga a BSI teszi közzé a weboldalán, ahol új ismeretek esetén frissítik is őket. Érdemes mindig az aktuális változatot elolvasni, mert az ajánlások és értékelések egy helyzet lefolyása során változhatnak.

## Miért narancs és nem piros a PHP2Shell

Összehasonlításul gyakran a Log4Shellt hozzák fel. A Log4j Java-könyvtár résére a BSI 2021 decemberében a piros szintet hirdette ki, az akkori beszámolók szerint egyebek mellett azért, mert a rés triviálisan kihasználható volt, és sikeres feltörések már ismertek voltak. 2022 januárjában a Bundestag szerint a figyelmeztetést sárgára minősítették vissza.

A narancs pontos indoklását a PHP2Shell esetében csak a BSI ismeri. Felismerhető különbségek a megerősített támadások helyzete és az, hogy minden támogatott PHP-ághoz elérhető frissítés. Részletes összehasonlítást nyújt a [PHP2Shell és Log4Shell](https://phpsos.de/hu/blog/php2shell-und-log4shell/) írás. A narancs ugyanakkor nem jelent riasztás-lefújást. Az ajánlás, hogy szükség esetén vegyék le a szervereket a hálózatról, egy hatóság részéről határozott kijelentés.

> **Fontos:**
> A riasztási szint változhat, mindkét irányban. Az aktuális állapot a BSI weboldalán a mérvadó, nem az előző napi újságcikk.

## Mit nem jelent a narancs

Három félreértéssel találkozunk jelenleg gyakran:

- **„A narancs azt jelenti, hogy feltörtek minket.”** Nem. A szint a fenyegetettségi helyzetet írja le, nem a rendszerein talált leletet.
- **„A narancs csak a hatóságokra vonatkozik.”** Nem. A figyelmeztetések az érintett rendszerek minden üzemeltetőjéhez szólnak, a kis vállalatokhoz is.
- **„Ha van Cloudflare-ünk vagy WAF-unk, a narancs nem érint minket.”** Nem. A védelmi szabályok csökkentik a kockázatot, de nem helyettesítik a PHP-frissítést.

Hogy a figyelmeztetésből adódnak-e jogi kötelezettségek, például a [NIS2](https://phpsos.de/hu/compliance/nis2/) keretében, az iparágtól és a mérettől függ. Ez nem jogi tanácsadás; a részleteket tisztázza jogi tanácsadójával vagy adatvédelmi felelősével.

## A besorolás lefordítása döntésekre

Egy riasztási szint annyit ér, amennyi döntés következik belőle. A PHP2Shell esetében a vállalatoknak ezt a sorrendet javasoljuk:

1. **Az érintettség tisztázása:** Mely szerverek és weboldalak futnak PHP-vel, ki üzemelteti őket?
2. **A javítási állapot igazolása:** javított 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzió, vagy a szolgáltató által megerősített backport.
3. **Az újraindítás biztosítása:** Az összes PHP-folyamatot újra kell indítani.
4. **Ha ez nem megy azonnal:** átmeneti intézkedések bevezetése, vagy a szerver átmeneti leválasztása a hálózatról, ahogyan a BSI ajánlja. A lehetőségeket az [Azonnali intézkedések javítás nélkül](https://phpsos.de/hu/php2shell/sofortmassnahmen-ohne-patch/) írja le.
5. **Nyomok ellenőrzése és naplók mentése:** október 20-tól.
6. **A döntések dokumentálása:** ki mit mikor döntött el, és milyen alapon.

Éppen az utolsó pontot becsülik alá. Aki egy hivatalos, narancs szintű figyelmeztetésnél követhetően cselekedett, jobb helyzetben áll a biztosítókkal, ügyfelekkel és felügyeleti szervekkel szemben. A hátteret a [Az ügyvezetés felelőssége](https://phpsos.de/hu/compliance/geschaeftsfuehrer-haftung/) oldal adja.

## Hogyan segít konkrétan a PHP SOS?

- **Helyzetkép a vállalatáról:** A BSI besorolását az érintett rendszerei prioritással ellátott listájára fordítjuk le.
- **Az ajánlás végrehajtása:** Javítunk, újraindítunk, vagy átmeneti intézkedéseket alkalmazunk, amíg a frissítés lehetséges nem lesz.
- **Igazolás:** Dokumentációt kap arról, mi történt mikor melyik szerveren.
- **Megfigyelés:** Ha a BSI megváltoztatja a besorolást, vagy új közlemények jönnek, besoroljuk őket az Ön rendszereire nézve.

További információ a [PHP2Shell azonnali segítség](https://phpsos.de/hu/leistungen/php2shell-soforthilfe/) oldalon.

## Összegzés

A narancs riasztási szint a BSI második legmagasabb szintje, és a PHP2Shell esetében jól megalapozott. Nem pánikot kér, de döntést még aznap: javítani, újraindítani, ellenőrizni vagy átmenetileg leállítani. Aki ezt dokumentálja, helyesen olvasta a figyelmeztetést.


## Gyakori kérdések

**Hány riasztási szintje van a BSI-nak?**  
A BSI kiberbiztonsági figyelmeztetései négy szintet használnak: 1 / szürke, 2 / sárga, 3 / narancs és 4 / piros. A narancs a második legmagasabb szint, és üzletkritikus IT-fenyegetettségi helyzetet ír le, a rendes működés súlyos zavarával.

**A narancs riasztási szint cselekvési kötelezettség?**  
Maga a figyelmeztetés szakmai értékelés cselekvési javaslatokkal. Hogy ebből milyen kötelezettségek adódnak az Ön vállalatára, például a NIS2-ből, szerződésekből vagy biztosítási feltételekből, az egyedi esettől függ. Tisztázza ezt jogi tanácsadójával; ez nem jogi tanácsadás.

**Miért nem piros szintű a PHP2Shell?**  
A besorolás indokait maga a BSI határozza meg. Feltűnő a különbség a 2021-ben piros szintet kapott Log4Shellhez képest: ott az akkori beszámolók szerint már ismertek voltak sikeres feltörések. A PHP2Shell esetében a BSI szerint a széles körben megerősített sikeres támadások kezdetben nem voltak ismertek.

**Változhat a riasztási szint?**  
Igen. A BSI a helyzethez igazítja a besorolásokat, felfelé és lefelé is. A Log4Shellt például a Bundestag szerint 2022 januárjában a pirosról sárgára minősítették vissza. Az aktuális állapotot közvetlenül a BSI-nál ellenőrizze.

## Források

- [BSI: a német Szövetségi Információbiztonsági Hivatal](https://www.bsi.bund.de/)
- [hessenschau: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [php.net: biztonsági közlemények](https://www.php.net/)